一个AI把战略规划泄露给前台，只需要一次搜索
约 7 分钟驭光者首发于微信公众号「羲和Lab」
企业级AI协同实践 · 第04篇 / 共07篇 权限没有跟着知识一起流进AI
写在前面
上一期我们解决了"AI能不能读懂"。今天问一个更尖锐的问题——读懂之后，谁能读？
设想一个没有配置权限分级的AI问答系统。前台员工搜了一个业务词，系统把一份本该只有管理层可见的战略讨论文档，原样返回了。这不是AI"变坏"了，是权限没有跟着知识一起流进AI。
当AI变成了全公司最方便的知识入口，你过去的权限墙，还立着吗？
对技术读者：本文会出现RBAC、ABAC这些词——但你在这里不是架构师，是决定"AI的权限体系要不要重建"的人。
对HR或管理者：记住一个判断就够了——员工在AI里搜到的东西，和他在系统里能打开的东西，应该是一样的吗？如果答案不确定，这篇文章帮你把不确定变成可讨论的问题。
一、AI绕过了你所有的权限墙
03篇把知识变成了AI能读的形式——但没回答"谁有权读"。这不是疏忽，是大多数企业的真实状态：先把知识喂给AI，权限问题后补。
企业现有的权限体系是给人设计的。OA审批、文件夹权限、角色分组——你登录什么系统，看到什么界面。财务登录ERP，只能看财务模块。每个系统各自为政，权限在内部独立运作。
但AI的搜索是跨系统的。它把分散在不同系统里的信息集中到一个入口。过去，前台看不到战略文档，因为文档在管理层共享盘里，她连路径都不知道。现在AI把路径抹平了，一个搜索词就够了。
AI不是在"破坏"权限体系，是在"暴露"权限体系的缝隙。缝隙一直存在，只是搜索成本把它遮住了。以前要绕过权限墙，你得知道文档存哪个盘、归谁管。现在这些门槛全没了。很多企业在部署AI知识库时选择先开再说——先把知识灌进去，等出了问题再补权限。结果就是，没人知道AI到底返回过什么。
问题不在于AI做错了什么。在于把知识集中到一个搜索入口这件事本身，就把过去分散在各系统里的权限缝隙，一次性全部挤到了台面上。
二、RBAC的困境：角色够了，场景不够
RBAC——基于角色的访问控制。一句话：什么角色看什么。财务看财务数据，管理层看战略文档。这套模型最早由Ferraiolo和Kuhn在1992年于NIST提出。
RBAC在静态系统里够用，因为场景固定。财务登录ERP，只能看到财务模块的界面，系统本身就在替你执行权限。
但AI不按系统界面来，它按"语义相关性"来。一个提问可能同时涉及财务数据和客户信息——AI检索的不只是预算表（财务有权限），还可能包括一份引用了预算数据的跨部门评审记录（财务没权限）。甚至可能是项目群里的一句："听说预算砍了20%"。
RBAC按文档级别判权限，但知识在AI里是"片段级"流动的。一个项目主管搜"Q3预算"，系统返回的不只有预算表（他有权限），还可能拼出引用了预算数据的跨部门评审纪要（他没权限）。更隐蔽的是，多个碎片拼在一起就暴露了完整的决策逻辑。角色能把人关在不同的房间里，但挡不住有人站在走廊里，从每扇门的缝隙各偷看一眼。
三、ABAC听起来更精细，但代价是什么？
ABAC——基于属性的访问控制。一句话：不只看"你是谁"，还看"什么时间、什么地点、什么目的"。同样的文档，项目期间可访问，项目结束后收回。这套思路由Hu、Ferraiolo等人在NIST后续研究中提出。
映射到AI场景，ABAC的吸引力很直观：它能回答RBAC回答不了的问题——"这个片段包含敏感数据，且提问者不是归属部门，拒绝返回"。看起来很美。
但精细度不免费。三个真实代价。
第一，规则爆炸。千人公司里"什么角色在什么项目阶段可以看什么文档"这套规则，光是写出来就是一本手册。第二，性能开销——每次AI返回结果前都要过一遍规则引擎，检索延迟上升。第三，认知负担——业务管理者大概率看不懂这些规则，技术团队又不了解业务变化。最终结果往往是规则写了没人敢改，系统要么过严，要么过松。
ABAC不是"更好的RBAC"，是用管理复杂度换精细度。这个交换划不划算，取决于你对信息泄露的容忍度和你能投入的管理资源。
四、数据脱敏：AI能"读"和AI能"说"是两件事
前面讨论的都是"谁能看到什么"。还有一个经常被忽略的维度——AI看到了，但返回给用户时，该不该原样说？
设想一份客户合同，AI有权限读它。销售人员问"这个客户的历史合作情况"，返回合同概要和合作时间线，没问题。但非销售人员问同一个问题时，AI把报价和折扣也一并返回了。权限没越界，但敏感信息被"顺带"泄露了。
传统的脱敏对结构化字段有成熟方案：手机号掩码、身份证截断。但AI返回的是自然语言，不是字段。你能给手机号打星号，但你很难给一句"这个折扣偏高，建议跟老板确认后再报"做脱敏——它包含的不是隐私字段，是敏感的业务判断。
什么算敏感，在不同场景下答案不同。同一个报价数字，对销售是日常工作信息，对非销售部门可能是商业机密。敏感不是数据的固有属性，是场景赋予的标签。
脱敏的核心困难是定义问题——什么算敏感，在不同场景下答案不同。 这个定义权不在工程师手里，它需要业务负责人、法务、HR共同参与。而"共同参与"本身就是一件极难达成共识的事。
五、审计日志：知道谁搜了什么，就够了？
所有权限体系都需要审计兜底——出了事，能查到谁搜了什么。
但AI的审计面临一个新问题。传统审计记录"谁打开了什么文件"，一次操作对应一个明确对象。AI审计要记录"谁问了什么、AI返回了什么"——一次操作对应一段自然语言交互。"谁搜了什么"容易记录，但"用户实际看到了什么"很难确定。完整的响应里包含敏感内容，用户可能只看了第一行。
更深的困境不在技术层面。审计的常识定位是"事后追责"——出事了翻日志。但大多数企业的审计日志只在出事后才翻。没出事的时候，它是整个IT基础设施里最安静的一层。
AI降低了搜索成本，"小事"的频率在上升——一次无意间的越权搜索、一段包含敏感片段的回答——但达不到翻日志的门槛。
审计的真正困境不在日志的完整性，在组织的关注度。"没事时"审计日志是组织里最安静的系统，没人翻。AI降低了搜索门槛，"出事"概率在上升，但"没事时不看日志"的组织惯性并没有跟着变。审计从"兜底"降级为"安慰剂"，不是技术问题，是关注度问题。
审计只能告诉你"出了什么事"，不能防止事情发生。真正让知识安全流动的，不只是墙有多高，还有门该往哪开。05篇讨论流动。
知识迁移：传统企业可借鉴的3条底层原则
- AI不会"破坏"你的权限体系——它只是把过去被搜索成本遮住的缝隙暴露了出来。 与其盯着AI，不如先梳理各系统的权限现状，找到AI接入后第一个会被挤到台面上的缺口。
- 权限模型的精细度和管理成本是一条跷跷板。 选哪一端，取决于你对信息泄露的实际容忍度，而不是理论上"最安全"的那一端。
- 脱敏的本质不是技术处理，是组织共识。 什么算敏感，谁说了算——这个问题必须在技术实施之前想清楚。
六、五个值得想清楚的变量
读到这里你可能会问："那到底该怎么给AI设权限？"
我们不给方案。权限治理的路径高度依赖你公司的信息敏感度、管理成熟度和技术投入。下面五个变量，不是答案，是你决策前值得想清楚的问题。
变量一：你的信息敏感度，真的有你以为的那么高吗？
很多企业把"权限治理"等同于"保密"。但你公司最敏感的信息，是有形的文件——合同、配方、代码，还是无形的判断——谁靠谱、哪里有坑、这个客户别碰？
AI最容易"泄露"的是哪一种？大多数时候是后一种。而这种信息，过去根本没进过权限体系——因为它从来没被写下来过。权限墙再高，挡不住没被关进去的东西。
变量二：AI的搜索入口，是要复用现有权限，还是重建？
选项A：AI权限跟着现有系统走——员工在ERP里能看什么，AI就返回什么。实现成本最低，但碰到"跨系统碎片"问题。选项B：为AI单独建权限规则。精细度更高，但维护成本翻倍。
你更不能接受什么——"该看的看不到"的效率损失，还是"不该看的看到了"的安全风险？没有两全其美，只有取舍。
变量三：谁有权定义"什么算敏感"？
脱敏的前提是定义。定义敏感信息不是技术决策——它需要业务负责人、HR、法务共同参与。在你们公司，如果明天要列一份"AI返回时必须脱敏的信息清单"，谁签字？
如果没人能单独拍板，说明这件事还没被认真对待过。
变量四：审计日志，你真的会看吗？
很多企业上了审计系统，但日志只在"出事"后才翻。问题是，AI降低了搜索成本，"小事"的频率会上升——而大多数"小事"达不到翻日志的门槛。
你愿意为审计日志投入多少人力资源？如果答案是"出了事再说"，那审计就从"兜底"降级为"安慰剂"。
变量五：权限墙的存在，是为了保护信息，还是为了保护权力？
这是最难回答的一个变量。
很多企业的权限体系不全是出于安全设计。"这个数据只有我能看到"背后，有时是信息垄断，有时是部门壁垒。当AI开始抹平搜索路径时，受影响的到底是安全边界，还是某些人的信息特权？
这个问题没有标准答案。但它值得你在启动权限治理之前，先跟管理层摊开聊一次。因为如果权限墙里砌进去的是权力壁垒，那AI做的就不是"暴露缝隙"——它是在拆墙。拆墙不只改技术架构，是在动组织结构。
七、自检清单
如果下面四个问题中任何一个让你停了一下，那这篇讨论跟你的组织有关。
- 如果明天你的前台在AI里搜到了管理层战略会议的纪要，你能查出是哪个环节的权限没跟上吗？ 查不出来，说明权限体系本身就没有被系统化管理过。
- 你公司现在对"谁能看什么"的定义，是在系统层面（OA/ERP），还是在文档层面（文件夹/共享盘）？ 如果是后者，AI的跨系统搜索已经绕过了它。
- 谁有权决定"这条信息对AI返回时需要脱敏"？ 能在十秒内说出名字，说明这件事有人在想；说不出来，说明还没开始。
- 过去一年里，你翻过审计日志吗？ 没翻过的审计日志，和没有是一样的。
下期预告
权限和脱敏解决的是"不让不该看的人看到"。但知识如果只被锁住、不流动，企业AI协同就永远停留在"安全但无用"的状态。下一期（05篇），我们讨论一个更根本的问题：怎么让知识在组织里流动起来——从"我分享了"到"我们能问"。
关于本文的案例 本文涉及的企业实践，部分来自公开出版物与研究报告的整合提炼，部分源于行业共性观察，不特指单一企业未公开的内部数据。文中引用的访问控制理论（RBAC：Ferraiolo & Kuhn, 1992, NIST；ABAC：Hu, Ferraiolo et al., NIST）均可溯源至公开文献。
本文由AI辅助创作，经人工审核编辑后发布。所述管理观察仅供参考，具体决策请结合企业实际情况。
企业级AI协同实践 · 04/07 · 羲和Lab
本文首发于微信公众号「羲和Lab」，公众号内可留言交流
阅读公众号原文